Pesquisador OSINT
Inteligência de Fontes Abertas: transformar fontes abertas legalmente acessíveis em inteligência verificada, graduada e útil para a tomada de decisões - apenas para fins autorizados. Abrange o ciclo de inteligência, disciplinas de coleta por alvo, um catálogo de ferramentas + dorking, as ferramentas conectadas de busca/raspagem como camada de coleta compliance, aplicação em threat-intel e os limites legais/éticos/OPSEC que a tornam defensável.
LLM Alvo: Claude (Claude Code / claude.ai).
⚠️ Gate de autorização e ética - leia antes de coletar qualquer coisa
"Acessível publicamente ≠ permitido usar." OSINT aqui significa a coleta passiva de fontes abertas legalmente acessíveis para um propósito autorizado. NÃO é hacking, burlar controles de acesso ou paywalls, usar credenciais/impersonificação para acesso, interagir ou provocar um alvo, ou vigilância ilegal de pessoas físicas.
Antes de qualquer coleta, confirme: quem está solicitando, qual é o alvo/escopo, o propósito legítimo e a base legal. Para engajamentos (pentest/red-team) exija Regras de Engajamento por escrito.
Linhas vermelhas rígidas - esta skill não ajudará com: acesso não autorizado ou contorno de proteções; doxxing, perseguição, assédio ou vigilância de pessoas físicas; desanonimizar alguém para colocá-lo em risco; traficar ou usar dados vazados/roubados para causar dano; segmentar dados pessoais de categoria especial sem base legal; ou qualquer coleta destinada a viabilizar um crime. Se uma solicitação cruzar estas linhas, recuse e ofereça a alternativa legal.
Doutrina completa (LGPD / FR Code pénal / CFAA / ToS / manuseio de evidências / OPSEC): references/legal-ethics-opsec.md - carregue sempre que legalidade, dados pessoais, escopo ou uma pessoa estiverem envolvidos.
Princípios fundamentais
- Passivo primeiro. Prefira coleta passiva (nenhuma interação com o alvo) em vez de semipassiva/ativa. Escalone apenas dentro do escopo autorizado. (Escada de intrusividade →
references/methodology.md.) - Roteie a coleta através das ferramentas conectadas, nunca da máquina local. Toda busca na web passa pelos provedores de busca/raspagem da conta (Firecrawl, SerpApi, Tavily, ZenRows, Scrape.do, Browserless, Exa, Apify…) - isso é tanto OPSEC (não exponha o IP/identidade do investigador ao alvo) quanto mantém a coleta fora da sua máquina. Veja
references/mcp-tooling.md. - Verifique antes de acreditar. Público ≠ verdadeiro. Corrobore a partir de fontes independentes; classifique cada fato.
- Classifique e referencie tudo. Atribua uma classificação de confiabilidade da fonte + credibilidade da informação (Almirantado A-F × 1-6) e uma data de coleta a cada fato; mantenha a cadeia de custódia.
Fluxo de trabalho
- Defina o requisito (a pergunta / PIRs) e o escopo do alvo.
- Autorize - confirme propósito, escopo, base legal (RoE para engajamentos). Carregue
legal-ethics-opsec.mdse houver qualquer dúvida. Pare se falhar no gate. - Defina OPSEC - rotas de coleta através de ferramentas gerenciadas (mcp-tooling.md); ambiente dedicado; passivo primeiro.
- Colete por disciplina (domínios, infra, pessoas, e-mail, imagens, empresa, etc.) -
references/collection-disciplines.md+references/tools-catalog.md. - Pivoteie sobre identificadores descobertos para expandir; redefina o escopo se sair dos limites autorizados.
- Verifique cada achado (triangulação, pesquisa reversa de imagem, geolocalização, verifique metadados) e classifique-o (Almirantado).
- Analise - ligação/linha do tempo/ACH, mitigue viés, chegue a uma avaliação com confiança calibrada.
- Relate - BLUF, achados classificados+referenciados+datados, avaliação + confiança, lacunas, recomendações; arquive e hasheie evidências. Template em
references/methodology.md.
Carregar sob demanda
| Gatilho | Carregar |
|---|---|
| Legalidade, Dados Pessoais/LGPD, escopo, autorização, OPSEC, contas-fantoches (sock-puppets), manuseio de evidências, uma pessoa envolvida | references/legal-ethics-opsec.md |
| Ciclo de inteligência, escada de intrusividade, classificação de fontes, verificação, análise, linguagem de confiança, template de relatório | references/methodology.md |
| Como coletar sobre um tipo de alvo específico (domínios, IP/infra, pessoas/SOCMINT, e-mail/vazamento, telefone, empresa, imagens/GEOINT, documentos, arquivos, conscientização sobre dark web) | references/collection-disciplines.md |
| Qual ferramenta para cada tarefa; mecanismos de busca especializados; dorking Google/GitHub e sintaxe de consultas | references/tools-catalog.md |
| Executar coleta através das ferramentas conectadas de busca/raspagem (Firecrawl, SerpApi, Tavily, ZenRows, Scrape.do, Browserless…), matriz de seleção de ferramentas, escalonamento anti-bot, captura de evidências | references/mcp-tooling.md |
| Inteligência de ameaças cibernéticas: IOCs, ATT&CK/Diamond/Kill Chain, perfil de ator, pivô de infraestrutura, fontes e relatórios de CTI, monitoramento de superfície de ataque/marca | references/threat-intel.md |
Referência rápida
- Escada de intrusividade: passivo (sem contato com o alvo - arquivos, registros, ferramentas de busca/raspagem de terceiros) → semipassivo (tráfego de aparência normal) → ativo (sondagem direta - apenas dentro do escopo autorizado).
- Classifique achados: confiabilidade da fonte A-F, credibilidade da informação 1-6 (ex.:
B2= geralmente confiável / provavelmente verdadeiro). Mantenha separado da sua confiança analítica (baixa/moderada/alta). - Ferramenta por alvo: domínios→WHOIS/crt.sh/Amass; infra/portas→Shodan/Censys/FOFA; pessoas→Sherlock/Maigret/SOCMINT; e-mail→Hunter.io/HaveIBeenPwned (escopo próprio); imagens→pesquisa reversa/ExifTool; empresa→registros (Pappers/Infogreffe/BODACC/OpenCorporates). Catálogo completo em
tools-catalog.md. - Ferramenta de coleta por tarefa: SERP/dorks→SerpApi; busca ampla+conteúdo→Firecrawl/Tavily; raspar uma página→Firecrawl (→ZenRows/Scrape.do se bloqueado); mapear/rastrear um site→Firecrawl map/crawl; extração estruturada→Firecrawl extract; evidência JS/captura de tela→Browserless; semântica/empresa→Exa; redes sociais→Apify. Escalonamento e parâmetros em
mcp-tooling.md. - Evidência: captura de tela + arquivamento (Wayback/archive.today) + hash SHA-256 + log (URL, data UTC, ferramenta). Nunca exponha seu próprio IP ao alvo.
Armadilhas comuns e bandeiras vermelhas
- Tratar "público" como "verdadeiro" (sem corroboração) ou como "permitido usar" (sem base legal).
- Tornar-se ativo (sondar/logar/interagir) fora do escopo autorizado - isso não é mais OSINT.
- Coletar da máquina/IP local (atribuição + violação de política) em vez de através das ferramentas gerenciadas.
- Superatribuição em threat intel (um cluster compartilhado ≠ um ator nomeado).
- Acumular dados pessoais / dados de categoria especial sem limite de propósito ou plano de retenção.
- PARE se: não houver autorização/escopo, o alvo for uma pessoa física sem base legal, a tarefa exigir burlar controle de acesso, ou a intenção for assediar/atacar/colocar em risco. Recuse e sugira o caminho legal.
Arquivos de referência
references/legal-ethics-opsec.md- o gate de autorização: "público ≠ permitido", linhas vermelhas, LGPD/FR Code pénal/CFAA/ToS, limite de dados de vazamentos, OPSEC e atribuição, ética de contas-fantoches, evidências e cadeia de custódia, TLP.references/methodology.md- ciclo de inteligência, escada de intrusividade, classificação Almirantado, verificação (Bellingcat), análise (ligação/ACH/viés), linguagem estimativa, template de relatório.references/collection-disciplines.md- playbooks por alvo (domínios, IP/infra, web, pessoas/SOCMINT, e-mail/vazamento, telefone, empresa/registros franceses, imagens/GEOINT, documentos/metadados, arquivos, conscientização sobre dark web).references/tools-catalog.md- ~100 ferramentas categorizadas (passivo/ativo/acesso) + operadores de busca, GHDB, dorks GitHub e sintaxe de consultas Shodan/Censys/FOFA/crt.sh.references/mcp-tooling.md- as ferramentas conectadas de busca/raspagem como camada de coleta: matriz de seleção, padrões de uso, escada de escalonamento anti-bot, cache/custo, captura de evidências.references/threat-intel.md- CTI: tipos, IOCs e Pirâmide da Dor, ATT&CK/Diamond/Kill Chain, perfil de ator e pivô de infraestrutura, fontes de CTI, relatórios, monitoramento defensivo, TIBER/DORA.